ГОСТР ИСО/МЭКТО 13335-4—2007
предусмотрены ли меры по обнаружению утечки воды/ жидкости: сигнал тревоги и пути ава
рийного стока,
предусмотрены ли вспомогательные коммунальные услуги, например бесперебойное электро-
и водоснабжение и вентиляция воздуха (для управления температурой и влажностью)?
Ответив на эти вопросы, можно легко идентифицировать существующие и взаимосвязанные физи
ческие и другие защитные меры. Не следует считать тратой времени рассмотрение вопроса о местополо
жении здания, в том числедверей, замков и прочих средств контроля физическогодоступа.
7.3 Оценка существующихУпланируемых защитных мер
После оценки физических условий и условий окружающей среды и компонентов системы ИТдолжны
быть идентифицированы существующие или планируемые защитные меры. Это необходимо сделать во
избежание дублирования существующих или планируемых защитных мер. Кроме того, изучение внедрен
ных или запланированных защитных мер помогает при выборе других взаимосвязанных защитных мер.
При выборе защитных мер организация должна принимать во внимание их совместимость с существую
щими защитными мерами. Одни защитные моры могут конфликтовать сдругими или мешать ихуспешной
работе и действующей системе безопасности в целом.
Для идентификации существующих или планируемых защитных мер могут помочь следующие дей
ствия:
- просмотр документов, содержащих информацию о мерах безопасности (например, планов или кон
цепций обеспечения безопасности ИТ). Если процессобеспечения безопасности документирован, то вдо
кументации должны быть перечислены все существующие или планируемые защитные меры и статус их
реализации:
- проверка вместе с пользователями и ответственными сотрудниками (например специалистом по
безопасности системы ИТ. главным инженером или комендантом, ответственным за управление зданием и
егоэксплуатацию) того, какие защитные меры действительно реализуются для рассматриваемой систе
мы ИТ;
- осмотр здания с целью проверки реализации защитных мер, их сравнения с перечнем установлен
ныхзащитных мер. оценка их корректности и эффективности.
Может быть установлено, что существующие защитные меры превышают текущие потребности орга
низации. В этом случае следует рассмотреть вопрос об исключении избыточных защитных мер. При этом
следует принять во внимание факторы обеспечения безопасностиорганизации и экономической целесооб
разности применения защитных мер. Защитные меры влияютдруг надруга, поэтому исключение избыточ
ных защитных мер может снизить совокупный уровень безопасности. Кроме того, иногда дешевле сохра
нить избыточные защитные меры, чем их ликвидировать. Наоборот, если поддержание в рабочем состоя
нии и обслуживание избыточных защитных мер связано с высокими расходами, то дешевле их ликвидиро
вать.
8 Защитные меры
Настоящий раздел содержит краткий обзор возможных защитных мер, подлежащих реализации для
повышения уровня безопасности. Защитные меры связаны с работой аппаратных средств и механизмов, а
также с процедурами, которыедолжны соблюдаться персоналом ворганизации. Организационные и физи
ческие защитные меры, применяемые к системам ИТ. рассматриваются в 8.1. Специальные защитные
меры для системы ИТ рассматриваются в 8.2. Следуетотметить, что защитные меры должны бытьописаны
вне зависимости от способа их выбора, т. е. некоторые защитные меры могут быть выбраны, другие могут
быть идентифицированы путем выполнения детального анализа рисков.
Для того, чтобы упростить описание различных типов защитных мер. организация должна установить
категории защитных мер. Настоящий раздел содержит краткое описание этих категорий и указание на то,
какие типы безопасности ИТ имеют к ним отношение. В приложениях А — Н приведены ссылки надокумен
ты, содержащие более подробную информацию о защитных мерах, приведенных в настоящем стандарте.
8.1 Организационные и физические защитные меры
Источники дополнительной информации о категориях защитныхмерприведены втаблицах 8.1.1— 8.1.7.
8.1.1 Политика и управление безопасностью ИТ
Данная категория защитных мер содержит все защитные меры, имеющие отношение к управлению
безопасностью ИТ. планированию деятельности, распределению полномочий и ответственности по этим
процессам, а также все другие необходимые действия. Эти защитные меры описаны в ИСО/МЭК13335-1 и
8